ファイアウォール

マンションの敷地に入るには、正面の警備室を通ります。警備員は登録された住民の車かどうかを確認し、見慣れない外部の車が来たら、訪問の目的を確かめてからやっとゲートのバーを上げてくれますよね。私たちが毎日使っているネットワークの世界でも、これとまったく同じ出入り管理がリアルタイムで行われています。

インターネットからパソコンやスマートフォンへ行き来する情報の断片を、パケット(通信網を通じてやり取りするデータの小さなまとまり)と呼びます。ファイアウォールはインターネットと自分の機器の間にどっしりと立ちはだかり、このパケットの送信元と宛先のアドレスを丁寧にチェックする、デジタルの警備室の役割を果たします。

あなた自身がウェブサイトにアクセスした場合は、自分から先にリクエストした通信なので、ルールに従って返ってくるデータの受け取りを許可します。このとき、ファイアウォールがそのサイトが安全かどうかまで判断するわけではありません。けれども、出どころの分からない見知らぬ外部のコンピューターがこっそり自分の機器に接続しようとすれば、ファイアウォールはすぐにバーを下ろしてアクセスを食い止めます。

ファイアウォールが膨大なデータの中から怪しいアクセスを次々に選び出せるのは、あらかじめ作っておいた細かい出入り名簿のおかげです。IT分野ではこれを「ファイアウォールルール」や「セキュリティポリシー」と呼びます。

このルールには、「どのIPアドレス(ネットワークにつながる機器の固有番号)を通すか」、そして「どのポート番号(コンピューターの中でプログラムが通信するときに使う専用の出入り口)を開けておくか」が、一つひとつ書かれています。ファイアウォールは通過するすべてのデータを照合して、事前に許可されたデータだけを通過させます。

もしハッカーが、固く閉ざされている見当違いの番号のドアから侵入しようとすれば、すぐに接続を切断します。また、外から内への侵入だけを見張っているわけではありません。パソコンに潜り込んだマルウェア(悪意あるソフトウェア)がパスワードや個人情報をこっそり外へ持ち出そうとするときも、ルールを設定しておけば外へ出ていく道をふさぐことができます。ただし、個人向けのファイアウォールは通常、外へ出る通信をデフォルトで許可しています。そのため、マルウェアが普通のウェブ通信になりすましていると、ファイアウォールだけでは防ぎにくくなります。

もう少し正確に言うと、ファイアウォールをひとつ有効にしておけば、あらゆるデジタルの脅威を完璧に防げるわけではありません。基本的なファイアウォールは、主にデータの封筒に書かれた宛先や差出人の情報だけを確認しているからです。

郵便物の封筒に書かれた差出人の住所がまともだからといって、中身まで必ず安全だとは言い切れませんよね。一見ふつうのインターネット接続を装って入ってくる悪意あるスクリプトや、メールに添付された有害なファイルは、単純なアドレスの検査だけでは見つけにくいのです。

そこで今日では、複数の仕組みを組み合わせて多層防御を築いています。データの中身まで開けて調べるディープパケットインスペクション(DPI)機能を備えた次世代ファイアウォールがありますし、攻撃を見つけて知らせる侵入検知システム(IDS)や、攻撃を直接ブロックする侵入防止システム(IPS)もあります。ウェブサイトのサーバーを狙う攻撃は、ウェブ専用のファイアウォール(WAF)が別途担当します。メールの添付ファイルのような有害ファイルは、ウイルス対策ソフトなどのセキュリティソフトやメールセキュリティ製品が取り除きます。ファイアウォールが頑丈な建物の外壁と正面の警備室を受け持ってくれても、機器の内部を細かく点検する専用のセキュリティソフトと最新のアップデートを必ず一緒に用意してこそ、安全といえます。